ESPINOS +

SPHINCS ⁺ es un esquema de firma digital post-cuántica basado en funciones hash criptográficas . Como parte del proceso de estandarización de criptografía post-cuántica del NIST , una versión del esquema fue seleccionada por el NIST para servir de base al algoritmo de firma digital basado en hash sin estado ( SLH-DSA ) y se estandarizó como FIPS 205. ^{[ 1 ]}

SPHINCS ⁺ se basa en un esquema de firma de un solo uso llamado WOTS ⁺ (una versión modificada del esquema de firma de un solo uso de Winternitz), un esquema de firma de pocos usos llamado FORS (Forest of Random Subsets) y árboles Merkle . ^{[ 2 ]}

Al firmar, el mensaje se firma con una clave FORS. Esta clave FORS se firma con una clave WOTS ^{+ que es una hoja de un árbol Merkle. La raíz del árbol se firma con otra clave WOTS +} que, a su vez, es una hoja de otro árbol. La raíz de este último árbol se firma nuevamente con una clave WOTS ⁺ . El número de capas de árboles es un parámetro que se especifica como parte del algoritmo. Este "árbol de árboles" se denomina hiperárbol. La raíz del árbol superior es la clave pública. La firma consta de la clave FORS y su firma, las claves WOTS ⁺ con sus firmas y pruebas de inclusión para el árbol Merkle, y un valor aleatorio llamado R que se utilizó para generar la ruta en el hiperárbol. ^{[ 2 ]}

Para verificar una firma, el verificador primero verifica la prueba de inclusión de la primera clave WOTS ^{+ contra la clave pública y luego verifica la firma de la clave de la siguiente raíz. A continuación, comprueba la prueba de inclusión de la siguiente clave WOTS +} contra la nueva raíz. Este proceso continúa hasta llegar a la última clave WOTS ⁺ , que se utiliza para verificar la clave FORS. Dicha clave se utiliza posteriormente para verificar la firma del mensaje. ^{[ 2 ]}

Todas las claves WOTS ^{+ y FORS se generan de forma determinista a partir de la clave privada. Durante la firma, el firmante genera una cadena de bits aleatoria llamada} R y la somete a una función hash junto con el mensaje. Partes del hash resultante se utilizan para seleccionar la ruta a través del hiperárbol, mientras que el resto se firma con la clave FORS. ^{[ 2 ]}

SPHINCS ⁺ ha sido calificado como una opción "conservadora" por el NIST, ya que su seguridad se basa únicamente en la preimagen y la resistencia a colisiones de la función hash subyacente. ^{[ 3 ] [ 4 ]}

Se ha descrito un ataque de falsificación teórico para instancias específicas de SHA256 que requiere una gran cantidad de firmas legítimas y una cantidad de cálculo inviable. Se basa en la estructura Merkle-Damgård de SHA256 ^{[ a ]} y reduce cada declaración de seguridad en 40 bits. Los autores del ataque creen que no "pone en duda la solidez general del diseño de SPHINCS ⁺ " y se han propuesto medidas de mitigación. ^{[ 2 ]}

SPHINCS ⁺ se basa en el esquema SPHINCS, que se presentó en EUROCRYPT 2015. ^{[ 6 ]}

SPHINCS presenta un tamaño de clave pública y privada mayor de 1 kB y un tamaño de firma de 41 kB. ^{[ 6 ]}

SPHINCS ⁺ se lanzó por primera vez en 2017 ^{[ 7 ]} debido a que SPHINCS sufre una vulnerabilidad denominada "ataques multiobjetivo en firmas basadas en hash", que fue abordada en un artículo de 2016. Además, no tiene una selección de índice verificable (la ruta a través de los árboles), lo que permite otro tipo de ataque multiobjetivo. SPHINCS ^{+ se diseñó para abordar todos estos problemas y también reducir el tamaño de las claves y firmas mediante la compresión de claves WOTS +} sin árboles , la adición del parámetro R durante la firma y el reemplazo del esquema de firma de pocas veces con FORS. ^{[ 8 ] [ 9 ]}

SPHINCS ⁺ fue estandarizado como SLH-DSA por el NIST en agosto de 2024 en el estándar FIPS 205, ^{[ 1 ]} convirtiéndose en uno de los dos esquemas de firma post-cuántica estandarizados por el NIST, siendo el otro ML-DSA . ^{[ 10 ] [ 11 ] [ 12 ]}

SLH-DSA especifica las siguientes instancias en función de la función hash ( SHA256 o SHAKE256 ), el tipo (f para un tiempo de firma más rápido y s para una firma más corta) y el nivel de seguridad (por ejemplo, 128 significa que falsificar firmas es tan difícil como romper AES-128 ): ^{[ 1 ] [ 13 ]}

• Botan ^{[ 14 ]}
• Castillo hinchable ^{[ 15 ]}
• RustCrypto , escrito por Trail of Bits ^{[ 16 ]}
• Open Quantum Safe ^{[ 17 ]}

• Sitio web oficial